Unter welchen konkreten Voraussetzungen Datenübermittlungen in die USA künftig möglich sein sollen und welche Anforderungen von den betroffenen Unternehmen hierfür zu erfüllen sind, lässt der EuGH offen. Es besteht daher eine erhebliche Unsicherheit, ob und wie Datentransfers künftig rechtlich sicher gestaltet werden können.
Ein Rückgriff auf die alternativen Gestaltungsmöglichkeiten, die dem Datenexport nach dem Gesetz zur Verfügung stehen, erscheint extrem schwierig. Einwilligungserklärungen der Betroffenen ermöglichen jedenfalls keine Übermittlungen im bisherigen Umfang. Da die Einwilligung stets freiwillig erteilt werden muss und jederzeit mit Wirkung für die Zukunft widerrufen werden kann, ist sie keine Basis für einen flächendeckenden Datentransfer in Drittstaaten.
Ob die Vereinbarung sogenannte Standardvertragsklauseln oder sogenannte Binding Corporate Rules mit in den USA ansässigen Unternehmen in der Praxis noch möglich sein wird, ist unklar. Denn hier lässt sich ebenso in Zweifel ziehen, ob diese dem Betroffenen einen wirksamen Schutz vor dem staatlichen Zugriff seiner Daten im Empfängerland bieten.
Betroffen sind in erster Linie die in der EU ansässigen Unternehmen, die Daten übermitteln, sei es zum Zweck der Speicherung oder einer weiteren Verarbeitung in den USA. Denn sie sind für die Rechtmäßigkeit der Übermittlung verantwortlich und als solche auch etwaigen Sanktionen der nationalen Aufsichtsbehörden ausgesetzt.
Die Aufsichtsbehörden sind aufgefordert, diesen Unternehmen Wege aufzuzeigen, wie sie sich künftig datenschutzkonform verhalten können. Vor dem Hintergrund der immensen wirtschaftlichen Bedeutung von transatlantischen Datentransfers nicht nur für die digitale Wirtschaft sondern für alle Wirtschaftszweige, müssen diese auch praktisch handhabbar sein.
